Als ik met advocaten spreek, merk ik dat AI vaak nog wordt gezien als puur een efficiëntiemiddel. Iets wat je 'er even bij pakt'. Maar begin dit jaar heeft het College van Toezicht (CvT) van de NOvA de spelregels aangescherpt. Zij gaan er dit jaar expliciet op toezien of juridische AI-tools wel veilig en zorgvuldig worden gebruikt.
Hoe dat toezicht er in de praktijk uitziet
Dat toezicht gebeurt niet door een anonieme instantie ver weg, maar gewoon via de lokale toezichthouders van de Orde. De richtlijn is dat jaarlijks ongeveer tien procent van de advocatenkantoren per arrondissement een kantooronderzoek krijgt.
Waar de toezichthouder voorheen vooral naar de algemene kantoororganisatie en administratie keek, is AI-gebruik nu een afzonderlijk en vast aandachtspunt op de checklist geworden. De vraag is niet langer óf je kantoor in de gaten wordt gehouden, maar of je een goed antwoord klaar hebt als er wordt aangeklopt voor een controle. Je moet als kantoor hard kunnen maken dat de manier waarop jullie AI inzetten, volledig in lijn is met het beroepsgeheim en de AVG.
De vier niveaus van AI (en het oordeel van de NOvA)
Veel mensen denken dat alle AI hetzelfde werkt. Maar als het op privacy en controle aankomt, zijn er eigenlijk vier verschillende niveaus. Welk niveau je kiest, bepaalt hoe lang je gesprek met de toezichthouder gaat duren.
Niveau 1: De Publieke Cloud (De standaard AI)
Dit zijn de gratis of standaardversies van chatbots die via het open internet werken. Vergelijk het met het bespreken van een cliëntdossier in een vol, openbaar café. Je data gaat naar externe servers en wordt vaak gebruikt om modellen verder te trainen.
Het oordeel: Een rode vlag. Het invoeren van cliëntgegevens is hier een directe schending van het beroepsgeheim.
Niveau 2: De Beveiligde Cloud
Dit zijn betaalde, zakelijke cloudlicenties waarbij het techbedrijf belooft de data afgeschermd te bewaren en niet te gebruiken voor training. Je huurt als het ware een beveiligde kluis in het gebouw van een externe partij.
Het oordeel: Dit mag, máár met een zware bewijslast. Omdat de data je kantoor verlaat, wil de toezichthouder verwerkersovereenkomsten, DPIA's (risicoanalyses) en sluitende protocollen zien. Het levert een flinke berg administratie op.
Niveau 3: De Eigen Kantoorserver
Het kantoor huurt of koopt een zware eigen server en laat daar een AI-model op draaien. Advocaten loggen intern in. Het is alsof je het dossier bespreekt in een afgesloten vergaderruimte binnen je eigen pand.
Het oordeel: Veilig voor het beroepsgeheim, want data gaat niet naar Big Tech. Maar het is verschrikkelijk duur en complex. Je hebt een serieuze IT-afdeling nodig om de firewalls en beveiligingsupdates draaiend te houden.
Niveau 4: Lokale AI op je eigen laptop
Het AI-model wordt één keer gedownload en werkt daarna volledig op je eigen computer, zonder internetverbinding. Je leest en verwerkt het dossier gewoon aan je eigen bureau.
Het oordeel: De makkelijkste route. Je data verlaat je apparaat nooit, dus wat er niet is, kan ook niet lekken. Beroepsgeheim is gegarandeerd, zonder de peperdure IT-infrastructuur van niveau 3 of de administratieve hoofdpijn van niveau 2.
Een bewuste keuze voor de praktijk
De inzet van AI biedt de advocatuur veel kansen, maar de aangescherpte controle van de NOvA laat zien dat het gebruik niet zonder verplichtingen is. De toezichthouder verwacht simpelweg dat je kunt verantwoorden hoe het kantoor met vertrouwelijke gegevens omgaat.
Uiteindelijk komt het voor elk kantoor aan op een afweging tussen risico's, kosten en beheer. Kies je voor het gemak van een beveiligde clouddienst mét de bijbehorende administratieve bewijslast? Investeer je in de controle van een eigen server? Of kies je voor lokale software op het eigen apparaat om privacyrisico's op voorhand uit te sluiten? Welke route je ook bewandelt, het belangrijkste is dat de oplossing past bij de dagelijkse praktijk van de advocaten én dat je het verhaal richting de toezichthouder helder op orde hebt.
